軟件設計自動更新將存在致命安全隱患
對于科技新聞界來說，重大問題已經相當多了，這也是意料之中的事情;但我想討論的是一個似乎沒有被任何人注意的話題。如果我的看法是正確的話，它將是一個巨大的潛在威脅。
通常情況下，當計算機應用程序配置為自動更新的時間，人們會很高興，并不再那么擔心了。但現在，這種情況可能會有所改變。如果攻擊者可以劫持更新請求，并下載惡意軟件來代替更新的話，會發生什么樣的情況呢?
來見識一下Ippon
我想向你介紹由Radware的安全團隊主管伊奇克·科特勒和安全研究員托夫勒·比頓共同開發的一種叫做Ippon(日語“完蛋了”的意思)的攻擊軟件。Ippon采用的就是一種非常獨特的創意，我相信大部分人都不會想到這中情況。
Ippon的工作原理
Ippon可以尋找計算機發出的更新請求并嘗試利用惡意軟件予以代替。Ippon受到關注的一個重要原因是，大多數應用程序都設置為自動檢查更新。科特勒和比頓成功地實現了在開放的無線網絡上對通過超文本傳輸協議(HTTP)傳輸的更新請求流量進行搜索。當流量被發現，Ippon可以制造出堵塞的情況，看看是否可以讓惡意軟件比更新服務器更快地進行響應。
如果Ippon成功了，一條信息將會被發送到應用程序那里，通知它存在可用的更新，盡管實際情況并非如此。為了避免使自已遭到質疑，科特勒和比頓建立了一個參考環境，讓Ippon可以象現實環境一樣進行響應。一旦連接建立完成，惡意軟件就會被從攻擊者的服務器上下載，一切就都完蛋了。
脆弱的更新進程
在一次通過Ippon進行的非正式測試中，科特勒和比頓確定了有大約超過一百個應用都很容易受到攻擊，不過他們并沒有提到這些應用的具體情況。值得慶幸的是其中沒有包含微軟的應用。所有的微軟更新都包含了數字簽名，因此并不能被欺騙。實際上，這已經指出了應用程序防范來自Ippon攻擊的辦法。
預防措施
一些解決方案看上去也是比較明顯的。舉例來說，不使用開放的無線網絡。或者，在連接到開放的無線網絡上時，不進行系統更新。對于所有人來說，這些解決方案都是顯而易見的。
但對于在后臺自動更新的應用程序，我們應該怎么辦?通常情況下，只有更新完成了，我們才會得到提示。從技術角度考慮，使用開放的無線網絡時，避免來自Ippon的攻擊的唯一方法就是選擇使用一條安全的VPN通道。
一位朋友建議我提一下使用Secunia PSI進行主動更新。我認為即使Ippon不存在的話，這也是個好主意。不過，我還是要破除虛假的安全感，不要忽視定期自動更新帶來的安全問題。
最后的思考
在我撰寫這篇文章的時間，Ippon已經發布了，所以現在僅僅是個時間問題了。我向包括奧多比在內的幾家主要應用軟件開發商發送了電子郵件，并留下了語音信息。當了解到它們的更新是否使用了數字簽名后，我將根據實際情況對本文進行更新。
還有最后一個問題。科特勒和比頓選擇無線網絡，是因為它屬于最簡單的攻擊載體。如果Ippon可以支持有線網絡的話，情況會變成什么樣子?
【編輯推薦】
